加强金融移动支付标准化建设 推进产业规范有序发展 中国人民银行 陆书春 二O一二年十一月三十日 1

提 纲 移动支付的本质 移动支付发展现状 移动支付发展面临的问题 移动支付标准化解决方案 移动支付标准实施思路

1. 移动支付的本质 移动支付的本质 综上，移动支付业务属于金融业务范畴。 以银行和非金融支付机构账户作为移动支付业务主要账户基础 以手机等移动通信设备中的安全模块作为账户、身份认证等敏感信息的存储载体 以线上移动通信网络或线下POS、ATM等支付受理网络为支付渠道 以实现不同账户之间的资金转移或支付为业务核心 综上，移动支付业务属于金融业务范畴。

提 纲 移动支付的本质 移动支付发展现状 移动支付发展面临的问题 移动支付标准化解决方案 移动支付标准实施思路

2. 移动支付发展现状 国外情况 国内情况 NFC标准 法国、美国、芬兰、德国、韩国、新加坡、马来西亚等国家陆续出现了移动支付的尝试和应用。 法国尼斯、Google Wallet 国内情况 《非金融机构支付服务管理办法》 厦门、上海、广州、重庆等地区在交通电子票证应用方面已开 展试点工作 商业银行、非金融支付机构

提 纲 移动支付的本质 移动支付发展现状 移动支付发展面临的问题 移动支付标准化解决方案 移动支付标准实施思路

3. 移动支付发展面临的问题 产业发展面临的问题 商业模式不明朗，业务流程复杂 产业主体合作力度不够 移动支付产业链复杂，参与主体包括商业银行、银行卡组织、移动通信运营商、非金融支付机构、手机厂商、芯片厂商、商户等，且各自市场定位不清晰； 支付业务环节多、流程复杂，市场尚未形成较为成熟的商业运营模式。 产业主体合作力度不够 产业链中多个可能占主导地位的参与者有不同的价值分析和判断，导致对市场主导地位的竞争； 产业尚未形成如银行卡“规则联合制定、业务联合推广、秩序联合规范”的联网通用体制优势，未能开拓集约化、规模化发展局面； 各商业银行之间、移动通信运营商之间的竞争关系大于合作关系，尚无法通力合作、优势互补。 7

3. 移动支付发展面临的问题 产业发展面临的问题（续） 技术方案与标准不统一 非接频率、安全载体、密码算法等多种技术方案并存发展，各自形成一定规模，造成移动支付频段标准、应用支付载体、终端标准、安全规范等多种技术标准不统一； 上述问题给移动支付大规模应用带来障碍，不仅增加设备、系统间互联互通成本，还使手机、芯片等厂商产生观望心态，不利于产业发展。 8

3. 移动支付发展面临的问题 产业发展面临的问题（续） 基础配套设施建设有待完善 “统一的转接清算体系、统一的支付受理网络、统一的电子认证体系、统一的可信服务管理平台”，是移动支付规模化、集约化发展的前提和基础，目前尚缺乏完备的硬件配套设施，包括TSM平台、密钥管理系统、CA系统、受理环境等； 以上基础设施的完善将有效降低各支付系统的耦合度，实现跨机构转接和系统连接整合，从而使产业各方集中力量开展产品研发、推广以及产业合作，不必担心标准和技术模式对其产品和业务造成影响，不必进行基础设施重复建设。因此，能够有效提高产业资金利用效率，降低边际成本。 9

3. 移动支付发展面临的问题 产业发展面临的问题（续） 安全保障体系不健全 由于技术方案的多样性、通信网络的开放性、安全载体的共享性及业务流程的复杂性，信息安全风险成为移动支付的面临重要问题之一； 移动支付交易在安全载体、客户端软件、通信网络各环节需要建立安全、可靠的技术保障和完善的风险防控措施； 构建移动支付安全保障体系，加强安全载体及应用生命周期管理，是提升移动支付安全管理水平和风险防范能力、确保产业健康有序发展的必要条件。 10

提 纲 移动支付的本质 移动支付发展现状 移动支付发展面临的问题 移动支付标准化解决方案 移动支付标准实施思路

4. 移动支付标准化解决方案 标准化工作思路 标准验证 标准研制 标准体系规划 技术体系架构设计 关键技术研究

4. 移动支付标准化解决方案 标准的边界划分及适用范围 主要规定与移动支付相关的术语、非接触式接口、SE、多应用管理、交易处理流程、报文接口、业务运营的相关要求，包括应用基础类、联网通用类、设备类、应用类、安全保障类和安全技术类6大类。其中，安全技术类的标准涉及到其他各类标准，因此将安全技术类拆分，并归属于各个类别。 规定目前较成熟的关键性、基础性内容，部分新技术应用由于尚未得到充分的验证，暂未纳入技术规范。 适用于参与移动支付业务的商业银行、支付机构、卡组织等，也适用于芯片、卡片、嵌入式软件、客户端软件、SE应用、非接读卡器、手机终端等产品的制造商和第三方服务提供商。

4. 移动支付标准化解决方案 技术体系拓扑图 整个移动支付联网通用体系的拓扑结构图，是对我移动支付体系顶层设计和规划，包括公共基础设施、受理环境、银行和支付机构的业务处理系统、手机终端等主体，同时该图重点将系统之间的连接关系体现出来。

4. 移动支付标准化解决方案 非接频率 2.4GHz技术 13.56MHz技术 对比 分析 优点：不易受到干扰、功耗低、兼容金融现有IC卡受理机具，且国际国内产业应用成熟，形成了成熟完备的标准体系，在安全性、可靠性、可用性、兼容性、标准支持等方面具有优势。 缺点：需更换手机、无法穿透金属、需制定专利回避策略等。 优点：在信号穿透力和终端适配性方面具有一定的优势。 缺点：由于存在易干扰、功耗高、需外接电源、不兼容现有IC卡受理机具以及无相关标准支持等缺点，在安全性、可靠性、可用性、兼容性、标准支持等方面对该技术的应用推广形成了一定的制约。 对比 分析 13.56MHz技术适用于开放的联网通用环境, 2.4GHz技术可在封闭环境内进行试点应用。因此，金融行业标准以13.56MHz技术作为近场支付非接通信技术的基础。

4. 移动支付标准化解决方案 安全载体 全终端、SIM卡和SD卡三种技术方案各有优劣势，各有适用的应用场景。 差异体现在载体形态、接口以及由此带来的发行模式的差别； 关键的安全防护、多应用管理等技术，以及载体之上的业务流程上几乎没有差别，不影响移动支付业务的开展。 基于以上分析，我国移动支付技术标准将同时支持上述三种方案，产业链各方可客观分析各方案的优劣势，根据产业发展趋势，结合自身业务模式自主选择，从而有效提升产业链自主创新能力，优化产业结构和业务模式。

4. 移动支付标准化解决方案 密码算法 国内金融领域大部分采用国际密码标准体系，如DES(3DES)、RSA、SHA1等算法，其中部分算法在安全和效率上存在一定的缺陷，已不能满足移动支付产业在未来发展中对算法安全性和效率的要求。 国产密码算法是我国自主研制完成的密码算法，并经过国家密码管理局严格评定，具有较高安全性，是我国信息安全的重要保障。在更多的行业中采用国产密码算法，无论是从信息安全还是促进行业发展来看都有重要的现实意义。

4. 移动支付标准化解决方案 密码算法 移动支付作为国内金融领域的新兴产业，在应用中采用自主研发的密码算法，构造安全移动支付环境和自主可控金融信息安全保障体系符合国家信息安全发展战略。 移动支付处于发展初期阶段，系统和设备改造成本较低。 移动支付应用主要面向国内市场，暂不存在与国际支付环境的互联互通问题。 基于以上考虑，移动支付金融行业标准同时支持国产和国际密码算法。

4. 移动支付标准化解决方案 可信服务管理 移动支付互联互通的需要。不同企业TSM平台间需要互联，需要建立金融行业统一的联网通用基础设施，提供网络寻址和路由服务。 移动支付一卡多用的需要。为了实现不同企业之间的“一卡多用”，保证各企业金融应用在SE多应用平台上安全可信、共存发展，需要在机构入网、应用注册、安全载体认证等方面统一管理。 移动支付安全保障的需要。SE多应用平台支持不同行业应用共存，为了保证金融应用的安全运行，需要在安全载体的嵌入式软件、安全芯片等基础层建立符合金融安全要求的安全机制。

4. 移动支付标准化解决方案 标准化工作目标 但是，标准不是万能的。 工作 目标 有效整合移动支付与金融IC卡资源 实现移动支付联网通用 提高金融服务效率、便民利民 安全自主可控 工作 目标 啊啊 但是，标准不是万能的。 20

提 纲 移动支付的本质 移动支付发展现状 移动支付发展面临的问题 移动支付标准化解决方案 移动支付标准实施思路

5. 移动支付标准实施思路 移动支付非接触受理环境改造与完善。 移动支付标准及应用试点工作。 认真落实银发[2011]64号文件精神，推动商业银行、电信运营商、中国银联按照金融行业标准共同改造和建设非接受理渠道。适时启动2013年联网通用专项检查，督促非接受理环境改造工作，实现移动支付和金融IC卡受理环境的全面整合和有效复用。 移动支付标准及应用试点工作。 跟进商业银行、银联、电信运营商等移动支付应用项目开展情况，选择有示范效应的项目纳入试点范围，同时以国家电子商务示范城市创建为契机，选择部分电子商务基础环境较好的城市进行区域试点，为移动支付应用推广积累经验，为产业发展提供示范效应。 22 22

5. 移动支付标准实施思路 移动支付基础设施建设。 移动支付技术管理体系建设工作。 目前移动支付正处于产业培育期，金融行业技术标准即将发布实施，产业各方将进一步推出移动支付创新产品和技术解决方案。人民银行将适时推进TSM公共服务平台、密钥管理系统、CA系统等移动支付基础设施建设，保障移动支付产业稳定有序发展。 移动支付技术管理体系建设工作。 以贯彻落实移动支付金融行业标准为切入点，以“产品检测认证、联网通用检查、可信服务管理”等为主要手段，以“联网通用、安全可信、规范有序”为主要目标，建立与银行卡技术管理相衔接的移动支付技术管理体系，切实提升金融行业移动支付应用发行、受理、转接清算等环节持续、安全和稳定运营的能力。 23 23

谢 谢！ 24